我在一家母婴连锁管信息化，十二家门店，八家在无锡市区，梁溪区的社区店占了一半，另外四家开在江阴和宜兴的县城商圈。会员两万三千多人，积分是这摊事里最敏感的部分——奶粉段位换购、纸尿裤箱购返分、会员日双倍、生日礼包，哪条算错，导购半小时内就在群里艾特我。三年前这套系统是找一家小程序开发公司做的，二期我们打算换人，上周整整五天都花在源码交接上。下面是我这五天实际做了什么、卡在了哪里。

周一：交过来的不是源码，是一个 1.2G 的压缩包

对方项目经理上午十点在微信里发来一个网盘链接，命名是「XX母婴_全部源码_最终版」，1.2G。下载解压花了二十分钟，进去一看，node_modules 一个文件夹就占了九百多兆，真正的 src 目录不到四十兆。剩下的是三份 Word 文档和一堆截图。

我当场把包退回去了，理由只有一条：这里面没有提交历史。压缩包能告诉我代码现在长什么样，告诉不了我它是怎么变成这样的。我要看提交历史，是想搞清楚三件事——哪些模块是从别的项目整体复制过来的（复制过来的部分往往带着别家客户的字段名，也带着权属风险）；上线前那段时间改了什么；有没有把密钥、测试账号直接写进代码提交上去。

下午三点半拿到了只读仓库账号。一千四百多次提交，最近三个月只有六十次，其中四十一次集中在上线前那两周，提交信息全是「fix」和「update」。翻到去年九月，有一次提交把一个支付相关的密钥明文推了上去，后面虽然换掉了，但历史里还留着——这件事我记进了待办，等交接完必须让他们轮换一遍。

周二：找一台没装过环境的笔记本，从零编译一次

我拿了库房那台闲置的联想小新，系统重装过，什么开发环境都没有。这一步叫空机编译，是我这几年验收下来最管用的一招：能不能在干净机器上跑通，比任何一份验收报告都真实。

他们给的部署文档是这么写的：安装依赖，执行构建，上传代码包。三行。实际过程是这样的——第一步就卡住，文档没写 Node 版本，我装了 16，构建直接报错，换到 18.17 才过；接着两个私有依赖包拉不下来，包名带着他们公司的组织前缀，需要私有源的 token，我等他们运维回消息等了两个小时；构建出来的产物体积和线上版本对不上，追下去发现线上跑的是一个没进主干的分支。

整个过程用了三小时四十分钟，其中两小时在等人。这件事让我把「交付」两个字重新定义了一遍，写成一句能验收的话：在一台未安装过任何项目相关环境的机器上，按交付文档逐步操作，两小时内编译出可运行包，且版本号与线上一致。这句话我准备原样塞进二期的小程序开发合同里。一期合同里写的是「乙方向甲方提供全部源代码」，十个字，什么都约束不了。

周三：奶粉段位、箱购返分、清零提醒，规则到底写在哪几行

拿到源码只是第一层，能不能改才是第二层。我们的积分规则不算复杂，但每一条都是拿真金白银换来的教训：一段奶粉不参与积分（毛利太薄，去年做过双倍，一个月倒贴了一万四）；二段三段一元一分；纸尿裤整箱购一点五倍；会员日双倍但单笔封顶两千分；储值余额消费只按一半积分；退货必须同步扣分；一千分换一提湿巾，标价七十九；每年十二月三十一日清零，清零前三十天发短信提醒。

我让他们的开发当着我的面演示一遍：把「纸尿裤整箱一点五倍」改成一点八倍，需要动哪几个地方。结果动了三处——前端商品页的文案是写死的中文字符串，服务端一个定时任务里是一段 if-else 判断，数据库那张 rule 表建了十一个字段却只有三个在用。改完还要重新提审，小程序审核一到三天，赶上会员日前一天想调，根本来不及。

这就是很多人对源码交付的误解：以为拿到代码就等于拿到了控制权。实际上代码在你手里，规则还是硬编码在里面，你依旧得排队等一次小程序开发和发版。所以我在二期需求里加了一条硬指标：积分规则必须做成后台可配置，新增一条规则不修改代码、不发版，配置生效时间控制在五分钟以内。这条比源码归属对我的日常影响大得多。

周四：合同里没写的那句话，让著作权默认不归我

翻出一期那份小程序开发合同，通篇找不到「著作权」三个字，只有「乙方交付全部源代码」。这里有个很多甲方不知道的默认规则：委托开发的软件，合同未作明确约定的，著作权归受托方也就是开发公司所有，委托方只能在约定范围内使用。也就是说，我们付了钱、拿到了代码，但严格讲，拿这套代码去衍生开发、去登记软著、去授权给第三方，法律上都站不住。

补救办法是签一份补充协议，我请法务写了四句话：一是自尾款结清之日起，本项目所有源代码及文档的著作权（含修改权、复制权、发行权、信息网络传播权）全部转让给甲方；二是乙方承诺交付物不含未获授权的第三方代码；三是乙方不得将本项目代码整体或核心模块用于其他客户；四是配合甲方办理软件著作权登记，配合期限六个月。

软著登记的材料我也顺手问清楚了：源程序取前三十页和后三十页共六十页，每页不少于五十行；说明文书六十页；普通办理三十到六十个工作日出证，加急能压到三到五个工作日，费用另算。无锡这边代办机构不少，新吴区那片做物联网的企业常年在办，问一圈就有熟门熟路的。另外我让他们出具了一份开源组件清单，重点看有没有 GPL 系的东西——真混进来了，衍生代码要开源，这对商用系统是硬伤。

周五：不随代码转移的那些账号，才是真的命门

周五我做的是清点账号。源码是死的，账号是活的，系统能不能继续跑，靠的是后者。我列了一张十四项的表，一项一项对：小程序 AppID 与管理员微信号、支付商户号与结算银行卡、短信签名与模板（积分清零提醒那条模板是单独报备的）、对象存储桶与访问密钥、CDN 加速域名、地图服务 key、和收银 ERP 对接的接口 token、域名注册账号、备案主体、SSL 证书、服务器控制台账号、数据库高权限账号、监控告警接收人、微信支付的 API 证书。

对下来两项出了问题：短信平台的账户主体是开发公司的，我们只是里面的一个子账号；对象存储桶也挂在他们的云账号下，会员头像和商品图全在里面，两万三千个会员的数据在别人的存储桶里躺了三年。这两项转移都不是点一下就完事——短信主体变更要重新提交营业执照和签名报备，走五到七个工作日；存储桶跨账号迁移，一百二十多万个小文件，加上后续域名切换和缓存刷新，安排了整整一个周末。

顺带说一句，这类问题在无锡本地的中小连锁里特别常见。梁溪区几家和我们体量差不多的同行，一问全是这样，主体挂在乙方名下，平时没人管，直到想换供应商那天才发现自己什么都握不住。

下周一我要做的三件事

其一，把这五天的清点结果做成二期合同的附件三，标题就叫交付物清单，十四项账号加七项文档（数据库设计说明、接口文档、部署手册、积分规则说明、测试用例、设计源文件、开源组件清单），逐项写明交付形式和验收人。

其二，在验收单上加一条硬条件：干净机器两小时内编译通过，并跑通五条积分用例——正常下单积分、退货扣分、会员日双倍且封顶、储值消费折半、清零前提醒触发。五条全过才签字，缺一条尾款不付。

其三，把这份清单原样发给三家候选的小程序开发公司，谁在报价之前先追问积分规则要不要做成可配置、谁主动提出著作权转让条款怎么签，我就把评分往谁那边加。三年前我是看报价单最下面那个数字选的人，这回不这么选了。